最近在使用 OpenClash + MosDNS + AdGuardHome 打造 DNS 魔改系统时，整体网络体验都非常不错，广告过滤、分流加速都表现优秀。但在实际使用中，我却遇到了一个比较棘手的问题：
通过 DDNS + 端口映射访问远程桌面（RDP）非常不稳定，有时候能连，有时候连不上。
这个问题在我以前使用 PassWall+AdGuardHome+MosDNS 的时候并不存在，明显是 OpenClash 的某些机制干扰到了远程桌面流量。
问题定位：来源流量控制设置
经过排查，我最终在 OpenClash 的设置中找到了一个关键项：
来源流量访问控制
它的作用简单来说是：允许某些端口的流量不走 Clash 核心，直接通过系统转发。这个设置对远程桌面等需要稳定连接的服务非常关键。
安全提醒：不要直接映射3389
虽然连接稳定了，但直接把 3389 映射到公网是非常危险的行为，建议：
- 改用高位端口（如 54289 → 3389）
- 设置强密码，限制登录失败次数
- 加防火墙策略或地区限制
- 更进一步可以使用 VPN、FRP、ZeroTier 等内网穿透工具替代端口映射
总结
如果你也在用 OpenClash 做旁路由/透明代理，遇到远程桌面访问不稳定的问题，不妨试试这个设置，能有效解决 Clash 核心对端口流量的干扰。同时，记得做好安全防护，避免暴露服务在公网环境中。
???? 原图文教程连接 ：https://kejilaowang.com/openclash-fake-ip-redir-host-ddns/
相关阅读：
为什么代理开启后端口映射会失效？
公网请求进入内网后，返回流量必须沿正确网关回到访问者。如果 RDP 主机的回程被 OpenClash 代理、策略路由或错误 DNS 改写，就会形成非对称路由：连接请求到达了，但应答从另一条路径离开，最终表现为超时、偶尔可用或连接后立即断开。
推荐排查顺序
- 先暂时停用 OpenClash，确认端口映射和 Windows 远程桌面本身正常。
- 核对 RDP 主机的默认网关、静态地址和主路由端口转发目标。
- 把远程访问相关域名、目标 IP 或内网设备加入直连规则。
- 检查 Fake-IP 过滤列表，避免局域网域名和 DDNS 域名被错误映射。
- 检查 IPv6：若域名同时返回 AAAA 记录，但 IPv6 防火墙或回程未配置，会出现连接不一致。
- 查看 OpenClash、主路由和 Windows 防火墙日志，确认阻断发生在哪一层。
不要直接暴露 3389 端口
将 RDP 默认端口直接映射到公网会持续遭遇扫描和口令攻击。更推荐通过 WireGuard、Tailscale 或其他可信 VPN 先进入家庭网络，再访问内网 RDP；同时启用网络级别身份验证、强密码、双因素方案和登录审计。
Fake-IP 与局域网服务
局域网域名、NAS、打印机和远程桌面目标通常应返回真实内网地址。把这些域名加入 Fake-IP 过滤或本地域名策略，并确保 dnsmasq、MosDNS 与 AdGuard Home 不存在循环转发。
原创文章，作者：Tech.laowang，如若转载，请注明出处：https://techlaowang.com/openclash-mosdns-adguardhome-rdp/
